Une graine mal semée finit toujours par pourrir. C’est en substance ce qu’ont appris à leurs dépens les propriétaires de 431 portefeuilles crypto, siphonnés de 3,1 millions de dollars via une faille baptisée « Ill Bloom ». La cause n’est pas un exploit sophistiqué mais une génération de graines (seed) tellement faiblarde qu’elle en devenait devinable.
Points clés
- La faille « Ill Bloom » a permis de drainer 3,1 millions de dollars sur 431 portefeuilles crypto
- Des applications mobiles généraient leurs seed phrases avec une source d’aléatoire trop faible
- La firme de sécurité Coinspect a confirmé l’ampleur du pillage
Une entropie de façade
La firme de sécurité Coinspect a confirmé le pillage de 431 wallets, pour un butin cumulé de 3,1 millions de dollars. En cause : des applications mobiles qui construisaient leurs seed phrases avec une source d’aléatoire indigente. Résultat, l’espace des clés possibles se réduisait au point de devenir explorable par force brute.
La graine, c’est la clé maîtresse d’un portefeuille. Toute l’architecture repose sur l’idée qu’elle est impossible à deviner parmi un nombre astronomique de combinaisons. Quand le générateur d’aléatoire est cassé, cette promesse s’effondre et n’importe quel attaquant patient peut reconstituer les clés.
Un rappel qui pique
Le sujet est aussi vieux que la cryptographie appliquée : un chiffrement solide bâti sur un générateur de nombres aléatoires défaillant ne vaut rien. Les attaquants n’ont pas eu besoin de percer un coffre-fort, il leur suffisait de refaire les mauvais dés que l’application avait lancés.
Pour les utilisateurs concernés, la leçon est amère : la sécurité d’un wallet ne se juge pas à son interface léchée mais à la qualité de son entropie, un détail invisible que seul un audit sérieux permet de vérifier.
